Seit dem 4. September liegen rund 1,44 Millionen Dateien aus zwei Berliner Senatsverwaltungen im Darknet – Personalakten, Ausweiskopien, Gehaltsabrechnungen, teils Passwörter im Klartext. Der Senat hat die akute Gefahr inzwischen für beendet erklärt. Für die Betroffenen beginnt damit erst die eigentliche Belastungsprobe: Fachleute rechnen mit Folgeschäden, die Jahre andauern können.
Was einmal im Darknet liegt, lässt sich nicht zurückholen.“
Am 4. September 2026 lief das Ultimatum der Erpressergruppe Rhysida ab. Das Land Berlin hatte die geforderten 30 Bitcoin – umgerechnet rund zwei Millionen Euro – nicht gezahlt. Daraufhin stellte die Gruppe die erbeuteten Daten im Darknet zum Download bereit: nach Angaben der Senatskanzlei rund 1,44 Millionen Dateien mit einem Volumen von 5,8 Terabyte 1. Nach einem weiteren Datenpaket in der Nacht zum 6. September sprach Berlins Chief Digital Officer Florian Hauer von einer Größenordnung von rund 1,3 Millionen Dateien 5.
Inhaltlich reicht das Spektrum von Personalakten, Beurteilungen und Arbeitszeugnissen über Stundenzettel, Gehaltsabrechnungen und Bewerbungsunterlagen bis zu Vertrags- und Betriebsunterlagen 2. Eine Auswertung von rbb24 Recherche zeigt zudem, dass zahlreiche Ausweiskopien und personenbezogene Unterlagen von Beschäftigten in dem Datensatz stecken – darunter eine Kopie des Personalausweises der amtierenden Verkehrssenatorin Ute Bonde (CDU), eine gespeicherte Kopie ihrer digitalen Unterschrift sowie Mailverkehr ihrer Vorgängerinnen Manja Schreiner (CDU) und Bettina Jarasch (Grüne) 3.
Lesen Sie auchBerliner Verwaltung erklärt IT-Notfall nach Hackerangriff für beendet→
Hinzu kommen Unterlagen mit Bezug zur kritischen Infrastruktur. Nach Recherchen des Tagesspiegels betreffen sie unter anderem Heizkraftwerke, Tanklager, Notstromanlagen und Umspannwerke; der Spiegel berichtet über mehr als 550 Dateien zur Erweiterung des Kanzleramts 1. Der Chaos Computer Club fand nach eigenen Angaben Informationen über den Zustand der Berliner Wasserversorgung 1. Formal handelte es sich nach Darstellung des Senats ausschließlich um Unterlagen der niedrigsten von vier Geheimhaltungsstufen, „VS – Nur für den Dienstgebrauch“ 6.
Wie viele Menschen betroffen sind
Eine belastbare Zahl nennt bis heute niemand. Der Senat hat wiederholt erklärt, die Prüfung der mehr als eine Million Dateien dauere an; jede Datei könne mehrere Dokumente enthalten und müsse einzeln durchgesehen werden 6. Wie hoch das Risiko für Einzelne tatsächlich ist, vermag die Landesregierung nach eigenem Bekunden nicht zu beziffern.
Klar ist nur, wer sich bislang gemeldet hat. Bei der Verkehrsverwaltung gingen nach Angaben der Senatskanzlei eine mittlere dreistellige Zahl an Anfragen von Bürgerinnen, Bürgern und Beschäftigten ein, bei der Bauverwaltung rund 180, über die zentrale Anlaufstelle der Senatskanzlei unter 100 und über das Informationsportal knapp 50 4. Das sind die sichtbaren Fälle – nicht die Zahl der Betroffenen. Die Dunkelziffer dürfte deutlich höher liegen, weil viele Menschen von der Veröffentlichung ihrer Unterlagen schlicht nichts wissen.
Der CCC-Sprecher Joachim Selzer hält eine schnelle Klärung für unrealistisch: „Abschätzen zu können, was im Detail abgeflossen ist, das kann sehr lange dauern, mindestens noch viele Wochen“ 6. Der Senat setzt zur Beschleunigung auf KI-Werkzeuge, die Dateien nach Risikopotenzial sortieren sollen 5.
Warum die Folgen Jahre dauern
Der entscheidende Punkt ist die Halbwertszeit solcher Daten. Anders als ein gestohlenes Passwort, das sich zurücksetzen lässt, verschwindet eine Kopie des Personalausweises nicht wieder. Sie bleibt abrufbar, wird weitergereicht, taucht in Foren auf – und kann noch Jahre später verwendet werden.
Selzer beschreibt die Mechanik so: „Je mehr ich über eine Person weiß, desto genauer kann ich mich als diese Person ausgeben, desto genauer kann ich auch einschätzen, was ich von dieser Person wissen muss, zum Beispiel, um in ihrem Auftrag etwas bestellen zu können“ 1. Die Kombination aus Ausweiskopie, digitaler Unterschrift und echtem Mailverkehr ist dafür eine besonders tragfähige Grundlage.
Dazu kommt ein zweiter Strang: Erpressung. Das BSI warnt nach dem Leak vor einer erhöhten Bedrohung durch gezielte Phishing-Angriffe, bei denen weitere Zugangsdaten abgegriffen werden sollen 2. Wer in den Datensätzen auftaucht, kann individuell angeschrieben werden – mit Details, die nur aus den erbeuteten Akten stammen können. Das macht solche Mails glaubwürdig. Der CCC kritisierte zudem, dass in den betroffenen Systemen teils einfache Passwörter im Klartext gespeichert waren und veröffentlichte Zugänge noch Tage nach der ersten Veröffentlichung funktionierten 6.
Das BSI verwies außerdem auf die Gefahr sogenannter Hack-and-Leak-Operationen, bei denen gestohlene Dokumente zu einem politisch günstigen Zeitpunkt und in falschem Zusammenhang veröffentlicht werden 1. Für die betroffenen Beschäftigten bedeutet das: Ihre Personalakte kann jederzeit wieder auftauchen.
Wie die Behörden reagieren
Das Land Berlin hat am 6. September eine Steuerungseinheit eingerichtet, die Betroffene per E-Mail und Brief informieren soll 7. Zusätzlich gibt es eine zentrale Anlaufstelle per E-Mail sowie eine Informationsseite auf berlin.de mit Verhaltenshinweisen 8. Am 16. Oktober erklärte die Senatskanzlei die akute Gefahrenabwehr für beendet: Seit dem 13. August habe es keine Angriffe mehr auf die untersuchten Bereiche des Landesnetzes gegeben, dem Angreifer sei keine nachhaltige Infiltration gelungen 7. Die Auswertung der abgeflossenen Daten läuft weiter.
Der Umgang mit den Betroffenen steht allerdings selbst in der Kritik. Die frühere Verkehrssenatorin Jarasch erklärte gegenüber rbb24, sie sei nur informell über ihre Betroffenheit informiert worden, nicht aber über den Umfang; auf eine offizielle Auskunftsanfrage habe die Datenschutzbeauftragte der Senatsverwaltung mitgeteilt, die Bearbeitung verzögere sich wegen der hohen Zahl von Anfragen um Monate. Die Informationspolitik des Landes sei „desaströs“ gewesen, Betroffene seien mit den Folgen allein gelassen worden 3.
Hinzu kommt die Frage nach den Ursachen. Der IT-Sicherheitsberater Manuel Atug wirft dem Land vor, „grob fahrlässig gehandelt und vorsätzlich die Geheimschutz-Vorgaben nicht eingehalten“ zu haben 2. Der Grünen-Digitalexperte Stefan Ziller kritisiert, das 2026 eingeführte System zur Angriffserkennung habe wegen fehlender Lizenzen nur fünf Prozent aller Geräte abgedeckt – die später betroffenen Systeme gehörten nicht dazu: „Man hat sehenden Auges das Sicherheitsrisiko in Kauf genommen“ 3. Die Gewerkschaft der Polizei sprach von einem über Jahre verschlafenen Problem 1.
Was Betroffene jetzt tun sollten
Die wichtigste Maßnahme ist der Auskunftsantrag. Wer vermutet, in den Akten aufzutauchen, kann sich an die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz wenden und nach Artikel 15 DSGVO Auskunft darüber verlangen, welche personenbezogenen Daten dort gespeichert sind. Daraus lässt sich ableiten, welche Art von Unterlagen in den gestohlenen Paketen stecken könnte 5.
Wer konkrete Hinweise hat, dass eigene Daten veröffentlicht oder für Straftaten genutzt wurden, sollte Strafanzeige erstatten 5. Das ist auch für spätere Regress- oder Entschädigungsansprüche relevant, weil es den Zeitpunkt dokumentiert.
Technisch gilt: Überall dort, wo dieselben Zugangsdaten wie im beruflichen oder behördlichen Umfeld verwendet wurden, sollten Passwörter geändert werden – idealerweise mit einem Passwortmanager und Zwei-Faktor-Authentifizierung. Angesichts der BSI-Warnung vor Phishing gilt besondere Vorsicht bei Mails, die angeblich vom Senat, von Behörden oder von Banken stammen und zur Eingabe von Daten auffordern. Behörden fordern Zugangsdaten nicht per E-Mail an.
Sinnvoll ist außerdem ein Blick auf Kontoauszüge und die eigene SCHUFA-Auskunft, um ungewöhnliche Kreditanfragen oder Lastschriften früh zu bemerken. Wer Erpressungsversuche erhält, sollte nicht zahlen, sondern Anzeige erstatten und die Nachricht sichern.
Ausblick
Der Berliner Fall ist kein Ausnahmefall, sondern ein Muster mit Wiederholungscharakter: Rhysida hat nach Angaben der IT-Sicherheitsexpertin Bianca Kastl bereits Stuttgart angegriffen, mit ähnlichem Vorgehen 1. Die Lehre aus Berlin betrifft deshalb nicht nur die Hauptstadt. Sie betrifft jede Verwaltung, die personenbezogene Unterlagen ohne Löschkonzept in gemeinsam genutzten Verzeichnissen sammelt.
Für die Betroffenen bleibt vor allem ein Problem: Sie tragen das Risiko, ohne es beeinflussen zu können. Ob ihre Daten in fünf Jahren für einen Kreditbetrug genutzt werden, weiß heute niemand. Fest steht nur, dass die Dateien nicht zurückgeholt werden können – und dass die Aufarbeitung in Berlin noch Monate dauern wird.
